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Schule heute: Was ist gewünscht? (SF) 


e Computer-Arbeitsplätze 
oe Nutzung eigener Geräte (BYOD) 
o Dateispeicher, der auch zuhause nutzbar ist 


e Kommunikationsplattformen zwischen Schülern, Lehrern, 
Eltern 


o Vertretungsplan, Raumplan, Terminplan, Zensurverwaltung, 
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Wie sieht es bisher aus? (SF) 





o Arbeitsplätze: Windows (M$-Rahmenvertrag) 
oe Dateispeicher: Dropbox, Google 


® Kommunikationsplattform: Whatsapp, Facebook, unsichere 
E-Mail 


e Verwaltung: $proprietär ??? 
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Warum ist das schlecht? (SF) 


© Überwachung: Windows 10 sendet Daten an M$, 
Facebook/Whatsapp legen Profile an 


e Ressourcen: Windows schluckt Ressourcen (Hardware UND 
Personal) 


oe Abhängigkeit: Rahmenverträge knebeln Schulen, Anbieter 
kann Support einstellen 


o fehlende Freiheit für den Nutzer: Kaum Anpassungen des UI 
möglich 


@ Kosten: Lizenzverträge, Volumenlizenzen 
LiMux konnte IT-Kosten deutlich senken 


Es gibt keine Gründe, proprietäre Software/ Anbieter zu fördern! 
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Linuxmuster (SF) 





e Komplettlösung zum Betrieb schulischer IT-Infrastruktur 
e Ursprünglich: Einheitliche Infrastruktur in BaWü 
oe Entwickelt vom Verein linuxmuster.net e.V. 


e Ubuntu LTS als Basis 





Deutschlandweit ca. 25465 Clients, ca. 135787 User 


o Frei verfügbar (Open Source), keine Aktivierung nötig 
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Was bringt Linuxmuster mit? (SF) 


oe Imagingsystem LINBO — PXE-Boot der Clients 

o Webbasierte grafische Benutzeroberfläche (Schulkonsole) 
oe Pädagogische Funktionen 

oe Schulspezifische Benutzerverwaltung 

oe Mailserver 

e Cloud-Anbindung, moodle-Anbindung 


e Raumbuchungssystem, Schulportfolio (OSP), 
Druckquotierung (Pykota) 


e RADIUS, IPFire, VLAN-Unterstützung 
@ Erweiterungen: TOR, TrueCrypt/VeraCrypt 
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Was müssen wir hinzufügen/ändern? (LK/SF) 





In Anlehunung an den Kompass Digitalisierung 





e Unrat, den Ubuntu mitbringt, ersetzen /entfernen 
oe 2FA integrieren 


o XMPP-Server 
Warum? Damit keiner erst anfängt, Whatsapp vorzuschlagen 


YaCy zur Suche im Intranet/Internet 
oe Anpassung der Anwendersoftware, z.B. 


o Firefox/Palemoon: uBlock origin und uMatrix hinzufügen, 
Unrat deaktivieren, ... 


oe Thunderbird: HTML-Mails als plain anzeigen, Header 
anzeigen, ... 
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Zu unterstützende Plattformen (SF) 


® Arbeitsplätze: diskless fat clients, booten per PXE 
Es muss nur ein System gepflegt werden! 
$HOME über SSHFS (Performance?) 


oe BYOD: sehr heterogen (Linux, Android, ...) 


o Sollen Windows oder MacOS Beachtung finden? 
Pädagogik sagt NEIN 


e Multimedia: Whiteboards, Grafiktabletts 


Barrierefreiheit: Braillezeilen 
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Daten, Lernplattformen, Kommunikation (SF) 





o Nextcloud: Schüler und Lehrer sollen Daten auch zuhause 
nutzen können 


e Einfach zu bedienen 
o Stellt Gruppenverzeichnisse bereit, erlaubt Freigaben 


oe LDAP-Anbindung vorhanden: Nutzer/Gruppen werden 
übernommen 


oe Unterstützt 2FA 


oe Synchronisation mit $HOME 
oe Moodle als Lernplattform (hat sich bewährt) 
o MediaWiki? 
o Mailserver zur Kommunikation zwischen Lehrern und Schülern 


oe XMPP als Instant-Messenger 
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Anwendungen für Schüler (LK/SF) 


o Web: Firefox ESR oder Palemoon, Mail: Thunderbird, 
XMPP: Gajim+OMEMO 


o Office/Text: Libreoffice, TEXlive 
eo Multimedia: GIMP, Inkscape, Audacity, Kdenlive, MPlayer, ... 


Fülle an Lernsoftware der KDE-Community 


Programmierung: Arduino, BlueJ, Lazarus, ... 
oe Barrierefreiheit: Orca 


Und alles ist freie Software! 
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Anwendungen für Lehrer und Verwaltung (LK) 





o Klassenlisten, Studenpläne(?), Zensuren, Raumplanung: 
Bringt Linuxmuster mit 


(Webinterface für Vertretungsplan vorhanden?) 
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Beispiel einer Infrastruktur (PS) 


loud Iome 
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Firewall PXE 






ch LM 
Gateway Gateway 
Mail 
Sr LDAP 
XMPP 


Switch 


Managed 


Hausmeister 


Schüler 
Clients Proxy 
Lehrer iR 
Clients Na 
Verwal- 
tung Verwal- 
Clients tung 
ufzug 
eizung 
Fenster 


Isolierte Infrastruktur 


Sven Freitag, Lukas Kummer, N.N. 


Schule ans Netz 





Diskussionsrunde 1, 17. April 2019 





Was muss bedacht werden? (LK) 


eo Schüler-Arbeitsplätze: Internetzugriff erst nach Freigabe im 
Gateway, lesender Zugriff auf Noten-DB 


@ Lehrer: Zugriff auf Noten-DB, aber nicht Verwaltungs-DB 
o Verwaltung: Zugriff auf Noten-DB und Verwaltungs-DB 


e Embedded: Isoliert zueinander, manches muss leider ans Netz 
(Knebel-Support-Verträge) 
Fenster darf nicht mit Aufzug reden 
Fenster soll aber mit Heizung reden dürfen 
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Offline-Updates (SF) 





Nicht jede Schule hat VDSL oder FTTH 


Linuxmuster-Instanz muss lokales Repository für Clients 
anbieten 


@ Lokales Repository kann auch eigene Software bereitstellen 


o Admins entscheiden (in Absprache mit Lehrern und 
Verwaltung), wann Upgrades ausgerollt werden 
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Authentifizierung: 2FA (SF) 





oe Passwörter sind schnell mitgelesen (Keylogger, ...) 


o Passwörter sind oft unsicher (persönliches Datum, ...) 
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2FA: Umsetzung (SF) 


o Smartcards, NFC: 
Kosten, Token kann unsicher werden (Mifare Classic). BYOD? 


e GnuPG-Smartcard mit USB-Reader: ca. 20€ 


Yubikeys: Unfrei, nur ein Hersteller (> abhängig), Lücken 
bekannt 


TOTP: (vom Smartphone generiert) fällt weg 
oe HOTP: nicht nutzerfreundlich (TAN-Liste neben Tastatur) 


oe Provider: Privacyldea ? 
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Der Zoo an Authentifizierungen (SF) 


Linux/SSH: LDAP, krb, RADIUS, Pubkey, GPG, X.509 (alles, 
was PAM zu bieten hat) 


oe Mail: LDAP, X.509, krb/GSSAPI 

o Nextcloud: LDAP, X.509(?) Shibboleth? 
e Moodle: LDAP?, X.509(?)Shibboleth 
WLAN (802.1X): LDAP, RADIUS, X.509 
OpenVPN: X.509, RADIUS 
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X.509-Zertifikat scheint am sinnvollsten (SF) 


oe Breite Unterstützung, auch im Webbrowser 

oe SC kann mit Schülerausweis/Mensakarte kombiniert werden 
oe Schule betreibt eigene PKI, Schulverwaltung ist RA 

@ Pubkeys werden im LDAP gespeichert 

oe auch S/MIME (E-Mail-Signierung -Verschlüsselung) möglich 
o CA stellt Zertifikat für RADIUS bereit 


Bleibt immer noch die Frage der Kosten... 
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Installation Linuxmuster 6.2 (SF) 





Nach Anleitung: 


http: //docs.linuxmuster.net/de/latest/ 
getting-started/install-on-xcp-ng/ 


o Virtualisierung mit Xen (XCP-ng) 
oe domO wird mit XCP-ng Center (Windows-Software) gesteuert 


@ Komponenten (als domU): Linuxmuster-Server, Firewall 
(IPFire) 
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domO (SF) 





File Machine View Input Devices Help 


Conf igurat ion 
Network and Management Interface Conf igure Management Interface 


Device eth8 

NIEZEITTFT, MAC Address 88:88:27:87:78:2f 

Network Time (NTP) DHCP/Static IP Static 

Test Network IP address 169.254.178.67 
play NICs Netmask 255 .255.255.8 

Emergency Network Reset Gateway 169.254.178.1 

Open uSwitch Hostname xcp-ng 


NIC Vendor 
Intel Corporation 
NIC Model 


82545EM Gigabit Ethernet Controller 
(Copper ) 








<Esc/Left> Back <Up/Dowm> Select <Enter> Reconf igure <F5> Refresh 


BOS253B ED DW Right ctri 
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XCP-ng Center (SF 





WXCP-ng Center 763 
File View Pool Server VM Storage Templates Tools Help 
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Generelle Probleme (SF) 





@ Host wirft unverständliche Fehlermeldungen 
o Windows-VM will plötzlich nicht mehr starten 


eo Xen hat Probleme mit USB-Netzwerk 
— Ubuntu-VM als Gateway 


eo Ubuntu-Gateway-VM hat plötzlich kaputtes ext4 


@ gluster auf den Hosts funktioniert irgendwie nicht 
Vorgestern war von 4 Hosts einer nutzbar 


o Virtualbox hat GUI-Eigenheiten 
(z.B. NIC lässt sich während der VM-Ausführung ändern, aber 
erst nach Neustart tritt Änderung ein) 
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Grrr! (SF) 





o Sorry, Ubuntu 16.04 has experienced an internal error. 
If you notice further problems, try restarting the computer. ) 


”ExecutablePath F 
Jusr/bin/caja 





Send an error report to help fix this problem 


Hide Details Continue 
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Network Interface Cards 
Interfaces 

NIC MAC Link Status Speed Duplex Vendor Device 
NIC 3 08:00:27:38:4&:75 Disconnected - - Intel Corporation 82545EM Gig... 
NIC usb0 02:1b:1d:43:66:06 Disconnected - - 
NIC 0 08:00:27:07:70:2f Connected 1000 Mbit/s Full Intel Corporation 82545EM Gig... 
NIC1 08:00:27:8b:69:94 Connected 1000 Mbit/s Full Intel Corporation 82545EM Gig... 
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Ubuntu 16.04.2 LTS amsi-140-9.amsl. local ttyi 


ams1-140-3 login: taltsya 

Last 1 In Non May 20 16:25:34 CEST 2019 on ttyi 

Las‘ ? 

Welcome to Wuntu 16.04.2 LTS (GNW/LINux 4.4.0-67-generic x86_64) 


* DOcnKat an Re en m 
« Hanagement: ps://lendscape.canonical. 
* Support? https: //ubuntu.com/advantage 


8 packages can be updated. 
0 updates are security updates. 


The progrems included with the Ubuntu system are free software; 
the exact distribution terms for each program are described in the 
individual files in /usr/share/doc/*/copyright. 


Ubuntu comes with ABSOLUTELY NO HARRANTY, to the extent permitted by 
applicable law. 


The programs included with the Ubuntu system are free software; 
the exact distribution terms for each program are described in the 
individusl files in /usr/share/doc/x/copyright., 


Ubuntu comes with ABSOLUTELY NO KARRANTY, to the ex 
re ’ tent permitted by 


No directory, logging In with HOME=/ 
talts3a@gams1-140-3:/$ 
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Probleme bei der Installation (SF) 





oe In /etc/network/interfaces: :%s/eth0/eth3/g 
(Nachschauen mit ip link) 


o GPG-Key für pkg.linuxmuster.net musste manuell 
hinzugefügt werden 


oe linuxmuster-setup -first überschreibt resolv.conf 
—DNS tut während der Ausführung nicht mehr 


e LDAP-Schema sophomorix fehlt 
In welchem Paket ist es enthalten? 
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(1) Betriebssysteme üs 


Betriebssysteme kennen Dein Gerät 
und alles, was sich darauf befindet. 


allgemeine Tipps: 
https //digitalcourage.de/digtale-selbstverteidigung/ 
Hip issd.eftorg/ Wang) 


- Nutze datensparsame Betriebssysteme! 
- Konfiguriere sie so, dass: 

- kein Mikrofon/Kamera aktiv ist 
(Anschalten im Bedarfsfall für eine 
Anwendung, Ausschalten nicht 
vergessen!) 

- keine Telemetriedaten erhoben und 
versendet werden 

- keine Clouddienste verwendet werden 
- keine externe Sprach- und 
Sprechererkennung erfolgt 

- Verwende Anti-Virus-Programme 

- Sichere Deine Daten auf nur kurzzeitig 
angeschlossenen Systemen, sichere am 
Besten auf DVD (Schutz vor 
Ransomware) 


Sven Freitag as Kumm 








N 








N 


(2a) Internetbrowser + 


Browser wissen viel über Dich und sind 
die „Tür zum Internet”. 


Tipps zur Grundsicherung: 

- Achte bei Browserwahl auf datenarme 
Konfigurierbarkeit, Erweiterbarkeit und 
Updatefähigkeit 

ps Tagtaco1age Geicgliate-seistvereligung! 

ts ru younadeta seite Se, 
selbstverteicigunglalgemeinssibrowsersicherhet/ rag .d 
Neps:iresterepreaey com/aceure-browser/ > 
Atos youngeata.celiitale- 
selbatveteldigunglalgemeinssitrowsersicherheil (Jam13) 
-Schau mal bei den Anregungen unter 
itipeIrestorepruacy.com/secure.browser/ cder htps./wwn.kuketz- 
DIOg de,umgang:mi.daen.In-prvalizDen-datensolveraenkastzeil/ 
ans) 


- Kennst Du z.B. - Firefox 
Btipe/irestoreprvacy.comffrefox-prvacyl (Jamie) 
- Waterfox, Pale Moon, Brave 


Achtung Konfigurationsbedarf und achte 
auf Aktualisierungen, Prüfe Korrektheit 
der Einstellungen nach Update 


-Teste Browser auf SSL-Sicherheit 


ps: /AWOnW.3Sabs.comissitestviewMyClent.nim (Jane) 
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(2b) Internetbrowser x 


Browser-URLSs sind Postkarten (http) 
bzw. Briefe (https) - der Absender, der 
Empfänger und die Form des 
Briefumschlags sind immer erkennbar 


Tipps zu speziellen AddOns: 
- Panopticlick zeigt Dir, ob man Dich 
erkennt, Lightbeam zeigt Verbindungen 


- Anonymisierungsdienste können die 
eigene Präsenz verschleiern helfen: 
hitps.llancn Int tu-iresden.seeipjap_heipidemeipijondenym.ntemi 
- Anregung: informiere Dich über 
Suchmaschinen bevor Du sie nutzt! 
Trage dir eine datensparsame 
Suchmaschine als Default ein! 


geaytae-seomereisgungergenraucnenne- 
Gegen Banmesennen danıo) 


- Schau mal unter: Datenanalyse zur 
Schaffung von Transparenz von 
Datennutzung und -verwertung am 
Beispiel von Facebook 


abs 1sfenAgueneiMeg-Dves/, PEIDS:URaDS.SAnD- 
ee er Gr kan) 





„oesb "Kon, 





(4) Suchmaschine 


Die meisten Suchmaschinen 
(durch-)suchen auch Dich. 


Tipps: 

Kennst Du die Suchmaschinen? 

- lite.qwant.de 

- MetaGer.de 

- YaCy.net 

schau doch mal unter mossgtassurage.seigtae- 
AcH-ome-Jooge-atematvesuchmaschinen 


Senstensicigunges-gant- 
(anıa) 


Kennst Du die Kindersuchmaschine 
- blinde-kuh.de ? — Analytics-frei für 
den besonderen Schutz für Kinder 
Waraoıa) 

Wichtig: Empfohlen ist die direkte 
Suche, bei Drittanbietern gibt es 
oftmals personalisierte Ergebnisse. 


‚Auf Aktualisierungen achten! 


sgn 
„de v Kon, 


Abbildung: aus SiSy 2019, Prof.Dr-Ing. Jana Dittmann, Mario Hildebrand 
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Im Setup (SF) 


Configuring linuxmuster-community-feedback 


Sollen anonyme Statistiken an linuxmuster.net versandt werden? Sie 
koennen anschliessend detailliert festlegen, welche Informationen 
uebermittelt werden. Wir bitten darum, Ihr System zaehlen zu lassen, 
dies hilft uns bei der Weiterentwicklung von linuxmuster .net. 


Kies? No> 
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Im Setup (SF) 


Configuring linuxmuster-conmmunity-feedback 


Darf die Anzahl der Benutzer auf Ihrem System an linuxnmuster .net 
uebernittelt werden? Dabei werden keinerlei personenbezogene 


Informationen uebernittelt, lediglich die Anzahl der Benutzer 
(Schueler/Lehrer). 


Khes>] <No> 
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BERTIEEIBITESCHREERE RT) 





oe Machen wir was falsch? Ist LM 6.2 zu alt? 


o Warum ein altes Ubuntu? (12.04) 


Warum ist das Xen-Image halbgar? 
(Image ist riesig, trotzdem müssen viele Pakete aufwendig 
nachinstalliert werden) 


o Warum verlangt die Installation einen Internetzugang? 
Was ist mit Schulen, die offline sind? 
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Diskussionsrunde 3, 26. Juni 2019 


LESE ET ER WIRT) 





e Lief, wie in Doku beschrieben, durch 

oe Naja, nicht ganz: 
o apache2 startet nicht (> Schulkonsole) 
o slapd startet auch nicht 


o cupsd auch nicht (erst mal egal) 


@ domUs bekamen mehr Speicher 
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Probleme bei der Installation (SF) 





e LM 6.2 Repository: (im Forum versteckt) 
:/s/pkg.linuxmuster.net/archive.linuxmuster..net 


oe slapd: Probleme mit TLS-Zertifikat 


© cloop-Server (stellt Images bereit): 
Repository cloop.linuxmuster.net wurde abgeschaltet 
https://ask.linuxmuster.net/... half 
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:=/Nextcloud/OvGU/TAITS/Referat_Slides$’nmap 10.42.0.0/24 
#Starting Nmap 7.70 ( https://nmap.org ) at 2019-06-26 15:53 CEST 
Stats: 0:00:00 elapsed; © hosts completed (® up), 256 undergoing Ping Scan 
Ping Scan Timing: About 1.27% done; ETC: 15:53 (0:00:00 remaining) 
Nmap scan report for 10.42.0.1 
Host is up (0.00018s latency). 
Not shown: 998 closed ports 
PORT STATE SERVICE 
22/tcp open ssh 
53/tcp open domain 





Nmap done: 256 IP addresses (1 host up) scanned in 3.11 seconds 
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nmap GREEN interface (SF) 


Starting Nmap 7.01 ( https://nmap.org ) at 2019-06-26 16:55 CEST 
Nmap scan report for server.linuxmuster-net.lokal (10.16.1.1) 
Host is up (0.00055s latency). 

Not shown: 955 filtered ports, 32 closed ports 

PORT STATE SERVICE 

22/tcp open ssh 

25/tcp open smtp 

53/tcp open domain 

80/tcp open http 

111/tcp open rpcbind 

113/tcp open ident 

139/tcp open netbios-ssn 

389/tcp open ldap 

443/tcp open https 

445/tcp open microsoft-ds 

636/tcp open ldapssl 

873/tcp open rsync 

993/tcp open imaps 

MAC Address: 72:7B:36:52:A9:91 (Unknown) 
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Starting Nmap 7.01 ( https://nmap.org ) at 2019-06-26 16:55 CEST 
Nmap scan report for 10.16.1.4 

Host is up (0.00036s latency). 

Not shown: 996 closed ports 

PORT STATE SERVICE 

22/tcp open ssh 

80/tcp open http 

111/tcp open rpcbind 

443/tcp open https 

MAC Address: DE:C2:DF:B9:18:44 (Unknown) 
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Starting Nmap 7.01 ( https://nmap.org ) at 2019-06-26 16:55 CEST 
Nmap scan report for ipfire.linuxmuster-net.local (10.16.1.254) 
Host is up (8.00056s latency). 

Not shown: 993 filtered ports 

PORT STATE SERVICE 

53/tcp open domain 

80/tcp open http 

81/tcp open hosts2-ns 

222/tcp open rsh-spx 

444/tcp open snpp 

800/tcp open mdbs_daemon 

801/tcp open device 

MAC Address: 32:B0:D0:F2:BF:15 (Unknown) 
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Co Imn 





% Settings 
%8 Jobs 
ij About 


= Tasısa 


8 xosan 


+ New 





@ Sign out 
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x 














Console r Sn Logs Advanced 
= 8 
L 
= B Copy BiCtrl-+Alt+Del 


Bringing up the red0 interface. 
'tarting Ahcpcd on the redO interface. 
DICP Assigned Settin 
Ir ndaı 169.254.102.00 
Hos‘ ipfire 
Subnet Mask: 255.255.0.0 
Default Gateway: 
DNS Server: 
\Ading static routes... 
Btarting the Cyrus SASL Server... 


for vedd: 


IInitializing kernel randon nunber generator... 


Betting tine on boot... 
laiting for red comection 
Btarting_ntpd... 

ading Sensor Modules: 
Starting Collection daemon... 
Starting SSH Server 


'tarting feron 
tPFire u2.19 - u 


lipfire running on Linux 3.14.65-ipfire-pae 
ipfire login 





N.N £ ıle 


ERROR? Not onli' 

















* Starting OpenLDAP slapd * Starting OpenLDAP slapd 


) 


 » tail -n 1000 /var/log/syslog | grep slapd 
un 12 09:01:17? server slapd[l14811: @(#) $OpenLDAP: slapd (Sep 15 2015 18:19:06 
> $8012#011bu i ldd@1gw01-02 :/bui ld/openldap-SNu1lxW/openldap-2.4.28/debian/build/s 
24020923 Gyı7ıl 
un 12 09:06:46 server slapd[l28211: @(#) $OpenLDAP: slapd (Sep 15 2015 18:19:06 
) $#8012#011bui ldd@1gw01-02 :/bui ld/openldap-SNu1lxW/openldap-2.4.28/debian/build/s 
240130.72:3 Eyılıl 
un 12 09:12:25 server slapd[3489]1: @(#) $OpenLDAP: slapd (Sep 15 2015 18:19:06 
) $#012#011bui1ldd@1gw01-02 :/bui ld/openldap-5SNu1lxW/open1dap-2.4.28/debian/build/s 
ervers/slapd 
Jun 12 09:12:25 server slapd[34891: main: TLS init def ctx failed: -49| 
un 12 09:12:25 server slapd[34891: slapd stopped. 
un 12 09:12:25 server slapd[3489]1: connect ions_destroy: i to destroy. 
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ihr dann finden (SF) 





#TLSCipherSuite HIGH:MEDIUM: +5SLu2 
TLSCACertificateFile /etc/ssl/private/server..pen 
TLSCertificateFile /etc/ssl/private/seruver .pem 
TLSCertificatefeyFile /etc/ssl/private/server ‚1 





cat /etc/ssl/private/server.pem 


---BEGIN RSA PRIVATE KEY--- 


---END RSA PRIVATE KEY--- 
EOF 
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Private Schlüssel Zertifikatsanträge Zertifikate Vorlagen Sperrlisten 


Interner Name 2 commonName 
„am ho hor q 
” ı=9 TAITS 3A Linuxmuster CA TAITS 3A Linuxmuster CA 06 


a9 server server Nein CBD4DDF7622.. 2020-01-04 





oe Provisorische CA erstellt 


© 


Crt für Server: apache2, slapd, RADIUS, ... 


© 


Auch für spätere Nutzerzertifikate verwendbar (— 2FA) 


Nutzerzertifikate dann auch für S/MIME nutzbar 
(unterstützen TB oder claws-mail ootb) 


© 
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Firefox: CA importieren (SF) 








Zertifikatverwaltung x 


Ihre Zertifikate Personen Server Zertifizierungsstellen 


Sie haben Zertifikate gespeichert, die diese Zertifizierungsstellen identifizieren: 


| Zertifikatsname Ko j Kryptographie. Modul 
v Hongkong Post 
Hongkong Post Root CA 1 Builtin Object Token 
v horstbox.org 
horstbox.org Root CA 2019 das Software-Sicherheitsmodul 
TAITS 3A Linuxmuster CA das Software-Sicherheitsmodul 
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LINBO (SF) 





. BIOS 
local-Boot (MBR) Boot- PXE-Boot 
methode 
Kernel laden (Part.) Kernel laden (TFTP) 
inltrd laden (Part.) initrd laden (TFTP) 
Mini-Knoppix 
Partitionserkennung 
Dateisystemerkennung 
local-Boot (MBR) Boot. PXE-Boot 
methode 
Konfiguration von Konfiguration von 
Platte lesen Server laden 


Bootauswahlmenü 


‚Administrative Funktionen Menö- Betriebssystem booten 
auswahl 


Linux-Kernel oder 
Bootlader für Windows 
per kexec() starten 


Image erzeugen \ Porto ans Rechner auf Server 


(komplet oder eintragen oder 
inkrementell) Image reaizraren Konfig. ändern 


Abbildung: http://www.knopper .net/pics/linbo-booting.gif 


Schule ans Netz 
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Host: pxeclient 

Gruppe: 

Client IP: 10.15.1.102 
MAC: 08:00:27:52:0D:C5 


Imaging 





Root Modus 


[_] Timeout 


Raumbezeichnung 





G29-146 


Rechnername 





tarox-3 





IP-Adresse 





10.16.1.102 





LOGOUT 


PasöwortlDK, 


init£ache 1: %p10.18.1.1Ä« A dräe 3: Ärrsyrche 





Rechnergruppe 











xenial 








Registrieren 
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mage herunterladen 


gt Root 


Host: tarox-3 HD: 500.0GB 
Root Modus 
Gruppe: xenial Cache: -- 


Client IP: 10.18.1.102 CPU: Intel(A) Keon(Ai) CPU ES 
MAC: 08:00:27:52:0D:C5 RAM: 3954 MB 


Ü] Timeout 





LOGOUT 








Bitte Warten... 
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Linuxmuster Ubuntu 16.04 Client (SF) 


[7 Tu 0: BETEEEFIZEIT 


Anmelden 








linu'-musternet 


ubuntu® 16.04 L1S 
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Linuxmuster Ubuntu 16.04 Client (SF) 


Ubuntu-Schreibtisch dc th © 18530 





Tıngamuster. 


N] > ES: 1: Je Keil] 
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nsole GE) u 


© a® DA 10.16.1.1 


Schulkonsole für Netzwerkberater/innen 


[SEIT nn} 


‚erbleibend: 0:29:35 £) Main Admin (®) 929-146 WM tarox-3 IP: 10.16.1.102 
Mein Konto Einstellungen 





Benutzer Quota Drucker Hosts LINBO Reparatur Abmelden 


Benutzerverwaltung :: Schülerliste pflegen 
Datei importieren 
Durchsuchen. Keine Datei ausgewählt. Hochladen 


Editieren 


3a;Freitag;Sven; 13.06.1995; 


Änderungen speichern 


Zugriff nur von eingetragenen Rechnern 


Sven Freitag, as Kummer, N.N. Scl 


aus möglich 





Diskussionsrunde 3, 26. Juni 2019 





Hm, und jetzt? (SF) 


Fehler % 


4&A Kann Logdatei nicht öffnen 


Ok 
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Grusel (SF) 





o Hilfe, Redundanz: Hosts/Lehrer/...stehen im LDAP und in 


/etc/linuxmuster/*.txt 
o Server, SSH: PermitRootLogin yes 
oe SMB: encrypt passwords = true, Was ist mit dem Rest? 
e Client nutzt kein Idaps für Abfragen 


® LDAP: Rechte müssen angepasst werden 
Default: Idapsearch -x vom Client aus zeigt (fast) alles 


o $HOME liegt unverschlüsselt auf HDD 
Abhilfe: ecrytfs/cryfs auf dem Client 
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hne Worte (SF) 


https: //t3n.de/news/ 











mozilla-ceo-chris-beard-anbieten-1168614/3/ 

Wir arbeiten an drei Einkommensquellen und wollen sie neu 
gewichten: Wir haben Search, wir machen aber auch Content. Wir 
haben eine Firma namens Pocket, die Inhalte entdeckt und 
kuratiert. Da gibt es auch gesponserte Inhalte. Das ist das 
Content-Geschäft. 

Und das Dritte, an dem wir jetzt arbeiten und was sich entwickelt, 
während wir über Produkte und Services nachdenken, sind 
Premium-Ebenen für einige dieser Angebote. Du kannst dir sowas 
vorstellen wie eine sichere Speicherlösung. 


:%s/firefox/palemoon/g? 
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LM 6.2 Ubuntu 16.04 Client: Datenschutz (LK) 





123 Kg 
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LM 6.2 Ubuntu 16.04 Client: Datenschutz (LK) 
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LM 6.2 Ubuntu 16.04 Client: Datenschutz - Browser (LK 





® So wu: KIELIEIENT 


® Lnunmuster-dient [Running] -Bracle WM Virtualßox oo 


le Machine View Input Denis Hep 


Firefor\ Datei Ani an ar Hi LEN Kae: 





Sen aboutprefere 0 no 








3 Allgemein aa - | 
@ Sansees Ale von Fiefo erkannten Elemente zu Akiätenverflgun Bociren Einige Websites Funktionieren dann 
eventuell nicht richtig | 


Q suche 


g Pitenschutze 
Sicherheit Entsprechend den Einstellungen bieckieren: 


Benutzerdefiniert “ 


2 FireforKonto 
Websites eine "Da Nat Track Information sende, as ie eigenen Aktivitäten ich verfolgt werden sollen 
Weitere Informationen 
Immer 


© Nur wenn Firefox bekannte Elemente zur Aktivitätenverfolgung blockieren soll 


Cookies und Website-Daten 
Die gespeicherten Cookies, Website-Daten und der Cache belegen derzeit 6,2 MB Dahasen 


Speicherplatz. Weitere Informationen 
Daten verwalten, 


Erweiterungen & 
Themes 


Cookies und Website-Dater 





beim Beenden von Firefox löschen Berechtigungen verwalten. 


® Hifefürrirefor 


Zugangsdaten & Passwörter 4 








Lim 
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LM 6.2 Ubuntu 16.04 Client: Datenschutz - Browser (LK 





® SCH wu] KIELIEIENT 


® LUnuumuster-dient [Running] - Oracle VM Virtualßox oo 


File Machine View Input. Devkes Help 
Firefox \ Datei on Ansicht Chranik 1 a Ey Kugnrg 





S>en aboutprefere 20 no 











KR Allgemein 
(Startseite 
Q suche 


Datenschutz 
MR sicherner 


Datenerhebung durch Firefox und deren Verwendung 


Wir lassen Ihnen die Wahl, ob Sie uns Daten senden, und sammeln nur die Daten, welche erforderlich sind, um Firefox für 





jeden anbieten und verbessern zu können. Wir fragen immer um Ih Erlaubnis, bevor wir persönliche Daten senden. 
a Datenschutzkinweis 
/ Firefox erlauben, Daten zu technischen Details und Interaktionen an Mozilla zu senden Weitere Informationen 
I Firefox das Instlleren und Durchführen von Studien erlauben FirefoxStudion ansehen 
"/| Personaliserte Erweiterungsempfehlungen durch Firefox Weitere Informationen 


Nicht gesendete Absturzberichte automatisch von Firefox senden lassen Weitere Informationen 


Sicherheit 


Schutz vor betrügerischen Inhalten und gefährlicher Software 
(7 Gefährliche und betrügerische Inhalte blockieren Weitere Informationen, 
Erweiterungen & 
Themes "II Gefährliche Downloads blockieren 


® Hilfefürrirefox (7 Vor unerwünschter und ungewöhnlicher Software warnen. 








Lim 
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LM 6.2 Ubuntu 16.04 Client: Datenschutz - Browser (LK) 


Wie funktioniert der Betrugsversuch- und 
Schadprogrammschutz in Firefox? 


Der Betrugsversuch- und Schadprogrammschutz überprüft jede Webseite 
darauf, ob sie bereits in einer Liste mit Betrugsversuchen, Schadseiten oder 
unerwünschter Software enthalten ist. Diese Listen werden alle 30 Minuten 


automatisch aktualisiert, wenn die Schutzfunktion aktiviert ist. 


Beim Herunterladen einer Anwendung überprüft Firefox, ob der Download von 
einer Seite stammt, die bekanntermaßen Malware verteilt, und blockiert in 
diesem Fall den Zugriff. Ansonsten fragt Firefox beim „Safe Browsing Service” 
von Google an, ob die Software sicher ist, indem einige Metadaten des 


Downloads dorthin übermittelt werden. 
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LM 6.2 Ubuntu 16.04 Client: Datenschutz - Browser (LK) 





e "Do Not Track" kann zwar von Trackern ignoriert werden, 
sollte aber dennoch aktiv sein 


oe Mozilla macht den Eindruck immer Daten hungriger zu werden 


e Datenerhebung deaktivieren 
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LM 6.2 Ubuntu 16.04 Client: Datenschutz - Suche (LK 





® 9 m 


® LUnunmuster-dient [Running] - Oracle VM Vrtualßox 


File Machine View Input Deu 


Firefox Datei 





S>en aboutprefere er no 








KR Allgemein Suche 
@ Startseite Suchleiste 
ass @) Adresslelte für Suche und Seitenaufrufe verwenden 
Datenschutz 
G sicherheit Suchleiste zur Symbolleiste hinzufügen 
2 Frefox-Konto ® 
Standardsuchmaschine , 


Wählen Si Ihre Standardsuchmaschin für die Adress- und Suchleiste. 
S Google - 
7 Suchvorschläge anzeigen 
7) Suchvorschläge in Adressleiste anzeigen 


I) In Adressleiste Suchvorschläge vor Einträgen aus der Browser-Chronik anzeigen 


Erweiterungen & 


ve Ein-Klick-Suchmaschinen 


Wählen Sie die Suchmaschinen, welche unterhalb der Adress- bzw: Suchliste angezeigt 


® Hifefürrirefor 
werden, nachdem Sie den Suchbegriff eingegeben haben. 








Lim 
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LM 6.2 Ubuntu 16.04 Client: Datenschutz - Suche (LK) 


14 de Klee) ET] 


3 Eu Bez: 





X Allgemein 
@ Startseite Ein-Klick Suchmaschinen 
& Wähle Se die Suchmaschinen, vche unterhalb der Acres- br. Suchliste angezeigt 
Suche 
5 werden, nachdem Sie den Suchbegriff eingegeben haben. 
Datenschutz 8 
“ Sicherheit 
75 Google 
& Firefox-Kanto . 
7 Ging 


48 Amazon.de | 
4 8 DuckDucko 

ey 

4 8 Ecoca 

4 TB LEOEng.Deu 

4 Wikipedia (de) 


Weitere Suchmaschinen hinzufügen 








Tı NR. 


E 
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LM 6.2 Ubuntu 16.04 Client: Datenschutz - Suche (LK) 


eo Standartsuchmaschine ist Google 


e Muss geändert werden da Alphabet größtes 
Werbeunternehmen und damit Datensammler 


oe Auf dict.leo.org laufen Skripte von google-analytics.com und 
amazon-adsystem.com 


oe Für andere Suchmaschinen ausführliche Informationen auf 
https: / /digitalcourage.de/digitale-selbstverteidigung/es-geht- 
auch-ohne-google-alternative-suchmaschinen 


oe Von installierten Suchmaschinen nur Wikipedia unbedenklich 


Sven Freitag, Lukas Kummer, N.N. Schule ans Netz 


Diskussionsrunde 3, 26. Juni 2019 





LM 6.2 Ubuntu 16.04 Client: Datenschutz - Suche (LK) 


Alternativen: 


@ MetaGer.de (Spendenfinanziert) 


e Qwant.com (Anonymisierte Ergebnisse von Bing) 


startpage.com (Anonymisierte Ergebnisse von Google) 


@ qwantjunior.com und blinde-kuh.de für Kinder 
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LM 6.2 Ubuntu 16.04 Client: Datenschutz - Kamera (LK) 





si 


FERFEEITPIITE 
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LM 6.2 Ubuntu 16.04 Client: Datenschutz - Kamera (LK) 


e Große Gefahren für Kinder, wenn sie Aufnahmen von sich 
anfertigen können und möglicherweise verbreiten 


oe Mikrofon kann einfach in Einstellungen aus und ein geschaltet 
werden 


oe Kameratreiber mit Ismod/ Isusb finden 
o Siehe auch wiki.ubuntuusers.de/Webcam 
o Wie im LM _Kompass beschrieben deaktivieren 


o Wiedereinschalten benötigt dann root-Rechte 
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LM 6.2 Ubuntu 16.04 Client: Datenschutz - Apps (LK) 


@ Problematische Apps entfernen: 

oe Google Maps 

o Cheese (Videos mit Webcam machen) 
oe Neu hinzufügen: 


oe Openstreetmaps 
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LM 6.2 Schulkonsole: Datenschutz (LK) 


IEEPEJ:12J:7e7) 
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WNLCHEIOEREBERTETFAEG 


Bearbeiten Ansicht Chronik Lesezeichen Extras Hilfe 
X Schulkonsole-Einstellu X 


€ ce® 10.16.1.1 


Schulkonsole für Netzwerkberater/innen 


® Sitzungsdauer: 0:06:58 verbleibend: 0:29:43 £) Main Admin (®) 929-146 MM tarox-3 IP: 10.16.1.102 
Mein Konto 





Einstellungen Benutzer Quota 


Drucker Hosts LINBO Reparatur Abmelden 


Einstellungen :: Schulkonsole 





Global 

Sitzungsdauer [ »0 Minuten 

Überprüfe die Passwortgüte 

Minimale Passwortlänge 6 Zeichen 
ungen übernehmen 








Sven Freitag, L 
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LM 6.2 Schulkonsole: Datenschutz (LK 





Mailallas-Struktur vorname.nachname 7 


Mailquota-Warnungen 





Warnung bei weniger als 5 % Platz 
Warnung bei weniger als 500 kB Platz 


Mailquota-Überschreitung an root melden 








Login (Lehrer) 








Zufallspasswort 
Zufallspasswortzeichen 6 
Shell aktivieren 


Sambapasswort bei Erstanmeldung ändern 





Login (Schüler) 








Zufallspasswort 
Zufallspasswortzeichen 6 
Shell aktivieren 


Sambapasswort bei Erstanmeldung ändern 





Löschen (Lehrer) 





Duldungszeitraum 60 Tage 


Deaktivierungszeitraum 90 Tage 











Löschen (Schüler) 
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25. Juni 2019 Einzelschüler 











N 
Ki 

















S 
= 
5 
B 
EB 
A 
id 
1 
1 
1 
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= Schulkonsole -showfi 


- ce ® 10.16.1.1 


Schulkonsole für Netzwerkberater/innen 


@® Sitzungsdauer: 0:13:00 verbleibend: 0:29:44 je} Main Admin fen) 929-146 Mi tarox-3 IP: 10.16.1.102 


Mein Konto Einstellungen 





Benutzer Quota Drucker Hosts [@1)1:Te} 
Name Richtiger 


Benutzername: senf 
Erstpasswort: kNvL6w 
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LM 6.2 Ubuntu 16.04 Client (LK) 





e Client aktuell halten 


oe apt-get upgrade 
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Nutze wenn mögich den Lnw-Cient 

"Deatiere dos Mikro 
Eisielungen>rdangstingeng 

-Kemerareier @raklveren. unter 
SHapOLe Anackistccnt 
Dackeı „Teßatang zD.Urewiee 





TODD: Telemere Ubuntuiene 
B rogramme nur UrWindous 


Detericheng 
-Daienschetung nurkurzetio 
enschieten. 

"Sicherung aufDWD schitztvor 
Bausemeare. 
EntemeAnazon aus can starte: 


jFals Wanda Cients Benätiterden 
besteht eebiche, Anpassungsbedar 
(Sohe heraı den alamenen Ser... 
Desir Kompase‘ 

Beschte unbedingt auch die Verneise/ 
Beschtecie Hasen und Fabkneten, 
welche curh de SofwareLzenzen 
erteien! 


Sven Freitag 





Linuxmuster-Kompass 





Iniometbrouser und 
Suchmeschine 





> Passe Frei unrPruanye 
& nenn: 


ForEinstelungenakautgrefererose n 
iresdeste engeben, 

Daten 
HD 1007 
Kenden: 
Fenifens alle Häckchen in der 
Datenerhebung Audı Freie 





Schenet 
Anometen mme 








che 
Enteme ats sctrüffende. 
Sacwaseimen, 








Satz Standaruchmaschne Ar Kinder 
Im Gruncscnusteraufbinde.kuhae 
Infomere sch über aus 1e Anderungen! 











AN 











(Rrgong) 


Enter Google Hape! 
| Vermende steitscssen das feie 
Pentenie Chesse: 





Unas ou sen Fretoe-Bronser sten 
Umgenass? 


vesign K,, 
N 2 
Sn, 


TODg Verschlisselng in Tnunderbid 
inegeren 


Schule ans Netz 


TOBO Anpassungen LDAP und 
Sanca 


pasun K, 


TOOp Server 
Sichere regeimitig den Server mit 





Diskussionsrunde 3, 26. Juni 2019 


Netzarchitektur (N.N.) 





ocs.linuxmuster.net/en/late temad stration/netwo ıbnettin ics, B 









Firewall 


u H 
8 |: 


N ! VLAN Server 
L A < 10,16,1.0/24 
! 10.20.100.254 Un 3 nenne 


! 10.20.200.254 
! 10.30.10.254 


10.16.1.1 







L2-Switch 1 
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Netzarchitektur (N.N.) 





ocs.linuxmuster.net/en/late temad stration/netwo ıbnettin ics, B 









Firewall 


u H 
8 |: 


N ! VLAN Server 
L A < 10,16,1.0/24 
! 10.20.100.254 Un 3 nenne 


! 10.20.200.254 
! 10.30.10.254 


10.16.1.1 







L2-Switch 1 


Sven Freitag, Schule ans Netz 





Diskussionsrunde 3, 26. Juni 2019 


Netzarchitektur (N.N.) 





ocs.linuxmuster.net/en/late temad stration/netwo ıbnettin ics, B 









Firewall 


u H 
8 |; 


N ! VLAN Server 
L A . 10,16,1.0/24 
! 10.20.100.254 Un I Scene 


! 10.20.200.254 
! 10.30.10.254 


10.16.1.1 







L2-Switch 1 
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Netzarchitektur (N.N.) 





ocs.linuxmuster.net/en/late temad stration/netwo ıbnettin ics, B 









Firewall 


u H 
8 |: 


N ! VLAN Server 
GL A . 10,16,1.0/24 
! 10.20.100.254 He Ga nenne 


! 10.20.200.254 
! 10.30.10.254 


10.16.1.1 
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Netzarchitektur (N.N.) 





ocs.linuxmuster.net/en/late temadministration/network/subnettin ics, B 


omz y Router 
H Internet 


Firewall "Server 


> 254 } 10.16.1.1 


i VLAN Server 
Ep Ei 10,16,1.0/24 
: 10200025. 9 : nn 
? 10.20.200.254 


{ 10.20.10.254 h Home 1 
r m —— 
) 











Schule ans Netz 
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Netzarchitektur (N.N.) 





Mail > 
an Cloud 
XMPP 


ß 3 Managed ufzug 
Firewall DMZ Firewall yitch — Heizung 
Fenster 


Hausmeister 
Isolierte Infrastruktur 


















PXE 
LDAP RADIUS Home LM 
Drive Gateway 





Schüler Lehrer Yarzel- 
Clients Clients Kung 
Clients 
Proxy ei 
Naar Verwal 
tung 
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JAN lHLERSITUT SED) 


oe Rechte der Schüler müssen respektiert werden 


o Andere Projekte (MSN oder Puavo) riechen irgendwie 


LM ist cool: freiwillige Community, starker FLOSS-Gedanke 


LM hat noch viele Bugs und Schwachstellen, Dokumentation 
noch rudimentär 


oe Es steht bereits: LM 6.2 Server, LM 6.2 Default Client, 
Test-CA 
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Probleme während des Projektes (SF) 





oe Zu wenig Zeit 


o Virtualisierung des Servers mit Virtualbox erfolglos, 
kostete uns mehrere Wochen 
VBox generell gruselig (Host-IO-Cache off — Guest-ext4 
geht kaputt) 


o Während des Projektes: Anpassungen bei LM, da 
Vorbereitungen für LM 7.0 


e Dokumentation nicht aktuell und stellenweise rudimentär, 
Screenshots oft aus alten Versionen 
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Was muss noch getan werden? (SF) 


oe 2FA einrichten: Zertifikate ins LDAP, PAM-Module für Client 
und Server, Smartcard-Unterstützung für Clients 


oe Ab LM 7.0: Samba 4, bringt Kerberos mit (KDC Isolation?) 


oe Nextcloud einrichten, Samba-Shares einbinden und 2FA, 
Mailserver und XMPP-Server einrichten 


oe Client Images: Datenschutzkonform machen, 
Multimedia-Fähigkeiten untersuchen 


e Moodle einrichten und integrieren 


Wenn Interesse: Zusammenarbeit mit LM-Entwicklerteam erwägen 
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